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Auswirkungen der Datenschutz-Grundverordnung im Gesundheits- und 
Pflegebereich 


Vorbemerkung der Fragesteller 

Am 24. Mai 2016 trat die Datenschutz-Grundverordnung (DSGVO) in Kraft, 
die am 25. Mai 2018 Geltung erlangt hat. Obwohl sie in vielen Bereichen keine 
oder nur geringe Neuregelungen trifft, sorgt sie in letzter Zeit für Aufsehen. 
Grund hierfür sind die Neuregelungen bei den Sanktionen, die deutlich ausge¬ 
weitet und erhöht wurden. 

Ein guter Datenschutz ist in Zeiten von Datenskandalen von zentraler Bedeu¬ 
tung. Allerdings muss bei der Datenverarbeitung Rechtssicherheit bestehen. 
Eine Bürokratisierung des Datenschutzes mit immer höheren formellen Anfor¬ 
derungen und immer höheren Bußgeldern führt nicht unbedingt zu einem bes¬ 
seren Datenschutz, sondern vorwiegend zur Belastung von kleinen und mittle¬ 
ren Unternehmen sowie Praxen und Apotheken. Zudem besteht die Gefahr von 
Abmahnwellen, welche auch nicht dem eigentlichen Ziel eines besseren Daten¬ 
schutzes dienen. 

Im Gesundheits- und Pflegebereich werden ständig sensible persönliche Daten 
verarbeitet. Von Rezepten über Röntgenbildern bis zu Krankheitsdaten müssen 
Praxen, Kliniken, Apotheken und Krankenkassen sowie Pflegeheime zur Be¬ 
handlung und Versorgung von Patienten viele Daten erheben. 


Vorbemerkung der Bundesregierung 

Mit der ab dem 25. Mai 2018 unmittelbar anwendbaren Verordnung (EU) 
2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum 
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum 
freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz- 
Grundverordnung - im Folgenden DSGVO) soll der Datenschutz EU-weit har¬ 
monisiert und an die Erfordernisse des 21. Jahrhunderts angepasst werden. Die 
DSGVO wurde am 4. Mai 2016 im Amtsblatt der Europäischen Union veröffent¬ 
licht und ist am 24. Mai 2016 in Kraft getreten. In Deutschland wird die DSGVO 
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durch das mit dem Gesetz zur Anpassung des Datenschutzrechts an die Verord¬ 
nung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Daten¬ 
schutz-Anpassung- und -Umsetzungsgesetz EU) novellierte Bundesdatenschutz¬ 
gesetz (BDSG 2018) ergänzt, das im Sommer 2017 vom Deutschen Bundestag 
verabschiedet wurde. Die Rechtsanwender hatten zwei Jahre Zeit, um die Daten¬ 
verarbeitungsvorgänge an die Bedingungen der DSGVO anzupassen. 

Die wesentlichen Grundsätze der Verarbeitung von Daten ändern sich durch die 
DSGVO nicht. Die DSGVO enthält zudem umfangreiche Öffnungsklauseln, die 
den Mitgliedstaaten im Gesundheitsbereich die Möglichkeit spezifischerer Rege¬ 
lungen eröffnet. Im Rahmen der Anpassungsarbeiten des bereichsspezifischen 
Rechts an die Vorgaben der DSGVO wurde der Prämisse gefolgt, das hohe Da¬ 
tenschutzniveau des bereichsspezifischen Gesundheits- und Sozialdatenschutzes 
soweit wie möglich unter Nutzung der den Mitgliedstaaten zustehenden Gestal¬ 
tungsmöglichkeiten beizubehalten. Da die DSGVO in allen EU-Mitgliedstaaten 
unmittelbar gilt, müssen ihre Vorgaben, soweit sie keine Öffnungsklauseln ent¬ 
hält, zwingend erfüllt werden. 


1. Welchen Einfluss hat die DSGVO nach Auffassung der Bundesregierung auf 
die Übertragung von Patientendaten zwischen verschiedenen Ärzten, Klini¬ 
ken, Apotheken und Pflegeeinrichtungen? 

2. Welchen Einfluss hat die DSGVO nach Auffassung der Bundesregierung auf 
die Übertragung von Patientendaten zwischen behandelnder Stelle wie etwa 
einer Praxis oder Klinik und den Krankenkassen? 

3. Welchen Einfluss hat die DSGVO nach Auffassung der Bundesregierung auf 
die Übertragung von Patientendaten zwischen Apotheken und Pflegeeinrich¬ 
tungen und den Kranken- bzw. Pflegekassen? 

Die Fragen 1 bis 3 werden wegen ihres Sachzusammenhangs gemeinsam beant¬ 
wortet. 

Artikel 9 DSGVO enthält in Bezug auf die Erlaubnistatbestände zur Verarbeitung 
von personenbezogenen Gesundheitsdaten durch Angehörige der Gesundheitsbe¬ 
rufe (Artikel 9 Absatz 2 Buchstabe h DSGVO i. V. m. § 22 Absatz 1 Nummer 1 
Buchstabe b BDSG 2018) keine grundsätzlichen Änderungen gegenüber der bis¬ 
herigen Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 
24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung perso¬ 
nenbezogener Daten und zum freien Warenverkehr (Artikel 8 Absatz 3). Insofern 
bleiben die Möglichkeiten der Datenübermittlung zwischen Leistungserbringern 
sowie der Leistungserbringer an Kranken- bzw. Pflegekassen grundsätzlich be¬ 
stehen. Für die Datenübermittlungen sind die Vorgaben der DSGVO, des Bun¬ 
desdatenschutzgesetzes 2018 sowie spezialgesetzlicher Regelungen wie bei¬ 
spielsweise des Fünften und Elften Buches Sozialgesetzbuch (SGB V und 
SGB XI) zu beachten. 



Deutscher Bundestag - 19. Wahlperiode 


-3- 


Drucksache 19/3194 


4. Welche zusätzlichen Kosten entstehen Praxen, Kliniken, Apotheken, Kran¬ 
kenkassen und Pflegeeinrichtungen nach Einschätzung der Bundesregierung 
durch die Einführung der DSGVO? 

5. Welche zusätzlichen jährlichen Kosten entstehen Praxen, Kliniken, Apothe¬ 
ken, Krankenkassen und Pflegeeinrichtungen nach Einschätzung der Bun¬ 
desregierung durch die dauerhafte Umsetzung der DSGVO? 

Die Fragen 4 und 5 werden wegen ihres Sachzusammenhangs gemeinsam beant¬ 
wortet. 

Der Bundesregierung liegen keine Erkenntnisse darüber vor, welche zusätzlichen 
Kosten Praxen, Kliniken, Apotheken, Krankenkassen und Pflegeeinrichtungen 
durch die Einführung und durch die Umsetzung der DSGVO entstehen. 


6. Sind Änderungen bei der Telematikinfrastruktur nach Auffassung der Bun¬ 
desregierung notwendig, um die Datenübertragung und Speicherung 
DSGVO-konfonn umzusetzen, wenn ja, welche? 

Der Sicherstellung von Datenschutz und Datensicherheit kommt in den bereichs¬ 
spezifischen gesetzlichen Vorgaben für den Aufbau und die Nutzung der Tele¬ 
matikinfrastruktur bereits eine hohe Bedeutung zu. Das neue, durch die DSGVO 
und die nationalen Anpassungsgesetze geprägte Datenschutzrecht schreibt im 
Wesentlichen die bisherigen datenschutzrechtlichen Grundprinzipien fort. Die 
Grundsätze für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten 
bleiben bestehen. Die DSGVO hat insofern keine spezifischen Auswirkungen auf 
die Regelungen des SGB V im Zusammenhang mit dem Aufbau der Telema- 
tikinffastruktur und den Anwendungen der elektronischen Gesundheitskarte. 
Vorgesehene Änderungen in § 291 ff. SGB V betreffen Anpassungen an die Be- 
grifflichkeiten der DSGVO. 


7. Können Patienten nach Auffassung der Bundesregierung in Zukunft Ein¬ 
spruch gegen die Nutzung, Speicherung und Übennittlung ihrer Behand¬ 
lungsdaten einlegen, und welche Folgen hätte dies? 

Die DSGVO kennt die Begriffe Widerspruch (gegen eine grundsätzlich erlaubte 
Datenverarbeitung) und Widerruf (der Einwilligung). 

Erfolgt die Datenverarbeitung auf der Grundlage eines Erlaubnistatbestands nach 
der DSGVO oder nach nationalem Recht, kann ein Widerspruch nur in den in 
Artikel 21 DSGVO genannten Fällen erfolgen. Die Datenverarbeitung zu Be¬ 
handlungszwecken fallt nicht darunter, da sie zur Erfüllung einer vertraglichen 
Verpflichtung gegenüber dem Betroffenen erforderlich ist (Artikel 6 Absatz 1 
Buchstabe b in Verbindung mit Artikel 9 Absatz 2 Buchstabe h DSGVO in Ver¬ 
bindung mit § 22 Absatz 1 Nummer 1 Buchstabe b BDSG 2018). 

Wird ein Widerspruch nach Artikel 21 Absatz 1 DSGVO eingelegt - etwa wenn 
die Datenverarbeitung ausschließlich für die Wahrnehmung einer Aufgabe erfor¬ 
derlich ist, die im öffentlichen Interesse liegt (Artikel 21 Absatz 1 in Verbindung 
mit Artikel 6 Absatz 1 Buchstabe e DSGVO) darf der Verantwortliche die per¬ 
sonenbezogenen Daten nicht mehr verarbeiten, es sei denn, er kann zwingende 
schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, 
Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung 
dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. 
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Erfolgt die Datenverarbeitung nicht aufgrund eines Erlaubnistatbestands, sondern 
auf der Grundlage einer Einwilligung, so kann die Einwilligung, wie nach bishe¬ 
rigem Recht auch, jederzeit widerrufen werden mit der Folge, dass eine weitere 
Verarbeitung der aufgrund der Einwilligung bis zum Widerruf verarbeiteten Da¬ 
ten nicht mehr zulässig ist. 


8. Müssen Ärzte, Krankenhäuser etc. die Behandlungsdaten nach Auffassung 
der Bundesregierung weiter speichern, obwohl der jeweilige Patient deren 
Löschung verlangt? 

Artikel 17 Absatz 3 DSGVO führt die Fälle auf, bei denen trotz Löschverlangens 
Daten weiterhin zu speichern sind. Dies ist u. a. der Fall, wenn die Speicherung 
zur Erfüllung einer gesetzlichen Verpflichtung erforderlich ist, wie beispiels¬ 
weise der zehnjährigen Aufbewahrungspflicht der Patientenakte nach § 630f Ab¬ 
satz 3 des Bürgerlichen Gesetzbuchs (BGB). 


9. Wenn weiter Behandlungsdaten gespeichert werden müssen, wie lange, und 
welche Maßnahmen sind nach Auffassung der Bundesregierung zu ergrei¬ 
fen? 

Nach alter wie neuer Rechtslage sind Patientenakten grundsätzlich für die Dauer 
von zehn Jahren nach Abschluss der Behandlung einer bestimmten Erkrankung 
aufzubewahren. Dazu ist der Behandelnde gemäß § 630f Absatz 3 BGB ver¬ 
pflichtet. Eine entsprechende Regelung zur Aufbewahrungspflicht von ärztlichen 
Aufzeichnungen enthält zudem § 10 Absatz 3 der (Muster-)Berufsordnung für die 
in Deutschland tätigen Ärztinnen und Ärzte, der von den Landesärztekammern in 
entsprechenden berufsrechtlichen Regelungen umgesetzt worden ist. Vertrags¬ 
ärztinnen und -ärzte werden darüber hinaus gemäß § 57 des Bundesmantelvertra- 
ges-Ärzte, der zwischen der Kassenärztlichen Bundesvereinigung und dem Spit¬ 
zenverband Bund der Krankenkassen geschlossen wurde, zur entsprechenden 
Aufbewahrung von ärztlichen Aufzeichnungen verpflichtet. 

Die Aufbewahrungszeit kann aufgrund spezieller gesetzlicher Vorgaben abwei¬ 
chen. Beispielsweise beträgt sie nach der Röntgenverordnung und der Strahlen¬ 
schutzverordnung für bestimmte Aufzeichnungen über Röntgenbehandlungen 
bzw. Anwendung ionisierender Strahlungen dreißig Jahre. Auch die Kranken¬ 
hausgesetze einiger Länder sehen abweichende Fristen vor. 

Besondere Vorgaben zu Aufbewahrungsfristen von Behandlungsdaten sieht die 
DSGVO nicht vor. 


10. Wird zum Austausch, zur Speicherung und zur Übermittlung von Patienten¬ 
daten nach Auffassung der Bundesregierung die Zustimmung des jeweiligen 
Patienten benötigt? 

Die für die Behandlung erforderlichen Daten können auf der Grundlage des Arti¬ 
kels 6 Absatz 1 Buchstabe b in Verbindung mit Artikel 9 Absatz 2 Buchstabe h 
DSGVO in Verbindung mit § 22 Absatz 1 Nummer 1 Buchstabe b BDSG 2018 
ohne Einwilligung des jeweiligen Patienten verarbeitet werden. So ist in den ge¬ 
setzlich vorgeschriebenen Fällen der Datenverarbeitung, wie beispielsweise der 
Speicherung gemäß § 630f BGB oder der Datenübermittlung zu Abrechnungs¬ 
zwecken ärztlicher Leistungen gemäß § 295 SGB V, keine Einwilligung des je¬ 
weiligen Patienten notwendig. 

In den Fällen, in denen kein Erlaubnistatbestand greift, ist die Einwilligung erfor¬ 
derlich. 
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11. Benötigen nach Ansicht der Bundesregierung Praxen, Apotheken und wei¬ 
tere Gesundheits- und Pflegeeinrichtungen mit weniger als zehn Mitarbeitern 
einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte? 

Hinsichtlich der Notwendigkeit der Benennung eines Datenschutzbeauftragten 
tritt mit der DSGVO und dem BDSG 2018 in Bezug auf die Praxisgröße keine 
substantielle Änderung ein. Nach der seit dem 25. Mai 2018 geltenden Rechtslage 
ist die Benennung eines Datenschutzbeauftragten erforderlich, wenn mindestens 
zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener 
Daten beschäftigt werden (§ 38 Absatz 1 Satz 1 BDSG 2018), d. h. wenn diese 
Personen mit der Datenverarbeitung nicht nur gelegentlich beschäftigt sind, son¬ 
dern dies wesentlicher Teil des vereinbarten Arbeitsfeldes ist. Damit wird die bis¬ 
herige Rechtslage fortgeführt, da auch schon bisher die Verpflichtung zur Bestel¬ 
lung eines Datenschutzbeauftragten bestand, wenn mehr als neun Personen stän¬ 
dig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt 
wurden (§ 4f Absatz 1 BDSG in der bis zum 24. Mai 2018 geltenden Fassung). 

Unabhängig von der Anzahl der mit der Datenverarbeitung Beschäftigten besteht 
nach § 38 Absatz 1 Satz 2 BDSG 2018 die Verpflichtung zur Benennung eines 
Datenschutzbeauftragten, u. a. wenn eine Datenschutz-Folgenabschätzung vorge¬ 
nommen wird, sowie gemäß Artikel 37 Absatz 1 Buchstabe c DSGVO, wenn „die 
Kemtätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfang¬ 
reichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 [...] be¬ 
steht“. 

Daraus folgt, dass nicht jeglicher Umgang mit Gesundheitsdaten oder anderen 
„sensiblen“ Daten im Sinne des Artikel 9 DSGVO die Pflicht zur Benennung ei¬ 
nes betrieblichen Datenschutzbeauftragten nach Artikel 37 Absatz 1 Buchstabe c 
DSGVO auslöst. Der durch die DSGVO neu eingeführte Tatbestand erfordert, 
dass es sich um eine „umfangreiche“ Verarbeitung besonderer Kategorien perso¬ 
nenbezogener Daten im Sinne des Artikel 9 DSGVO handelt und dass die Verar¬ 
beitung die „Kemtätigkeit“ des Verantwortlichen oder Auftragsverarbeiters dar¬ 
stellt. Nach Erwägungsgrund 91 Satz 4 DSGVO sollte die Verarbeitung perso¬ 
nenbezogener Daten nicht als umfangreich gelten, wenn die Verarbeitung perso¬ 
nenbezogene Daten von Patienten betrifft und durch einen einzelnen Arzt oder 
sonstigen Angehörigen eines Gesundheitsberufs erfolgt. Es ist daher weder ein 
betrieblicher Datenschutzbeauftragter nach Artikel 37 Absatz 1 Buchstabe c 
DSGVO zu benennen noch zwingend eine Datenschutz-Folgeabschätzung nach 
Artikel 35 Absatz 3 Buchstabe b DSGVO durchzuführen. Nach einem Beschluss 
der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Län¬ 
der zur Datenschutzbeauftragten-Bestellpflicht nach Artikel 37 Absatz 1 Buch¬ 
stabe c, Datenschutz-Grundverordnung bei Arztpraxen, Apotheken und sonstigen 
Angehörigen eines Gesundheitsberufs vom 26. April 2018 gilt dies auch für den 
Zusammenschluss von Angehörigen eines Gesundheitsberufs in Gemeinschafts¬ 
praxen. 


12. Welche Qualifikation muss ein Datenschutzbeauftragter bzw. eine Daten¬ 
schutzbeauftragte nach Ansicht der Bundesregierung in einer Praxis haben? 

Der Datenschutzbeauftragte muss gemäß Artikel 37 Absatz 5 DSGVO insbeson¬ 
dere über das zur Erfüllung seiner Aufgaben erforderliche Fachwissen auf dem 
Gebiet des Datenschutzrechts und der Datenschutzpraxis verfügen. Dies ent¬ 
spricht dem bislang geltenden Recht (§ 4f Absatz 2 Satz 1 BDSG in der bis zum 
24. Mai 2018 geltenden Fassung). Zudem sind Interessenkonflikte auszuschlie¬ 
ßen. 
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In Fortführung der bislang geltenden Rechtslage (§ 4f Absatz 2 Satz 2 BDSG in 
der bis zum 24. Mai 2018 geltenden Fassung) richtet sich das erforderliche Ni¬ 
veau des Fachwissens nach der Sensibilität, Komplexität und Menge der Daten¬ 
verarbeitung und dem sich daraus ergebenden Schutzbedarf der personenbezoge¬ 
nen Daten. Je komplexer die Datenverarbeitungen und je größer die Menge sen¬ 
sibler Daten sind, desto höhere Anforderungen sind an das notwendige Fachwis¬ 
sen des Datenschutzbeauftragten zu stellen. Auf die Auslegungshinweise der un¬ 
abhängigen Aufsichtsbehörden wird verwiesen.* 


13. Hält die Bundesregierung es für wahrscheinlich, dass es durch die DSGVO 
zu einer Abmahnwelle kommen kann, die Praxen, Kliniken, Pflegeeinrich¬ 
tungen und Krankenkassen betreffen würde? 

Der Bundesregierung liegen keine Erkenntnisse darüber vor, dass der Gesund¬ 
heitssektor von Abmahnungen stärker oder weniger stark betroffen sein könnte 
als andere Bereiche. Die beispielsweise aus Bremen gemeldeten Abmahnungen 
von Arztpraxen beziehen sich nicht auf gesundheitsspezifische Problemstellun¬ 
gen des Datenschutzes, sondern auf mangelhafte Datenschutzerklärungen auf der 
Praxis-Internetseite. Die Bundesregierung nimmt jedoch die Befürchtungen ernst, 
dass es im Bereich des Datenschutzes zu einer „Abmahnwelle“ kommen könnte. 
Im Koalitionsvertrag ist vereinbart, dass ein „Missbrauch des bewährten Ab¬ 
mahnrechts verhindert“ werden soll (Rz. 5819). Gegenwärtig prüft die Bundesre¬ 
gierung Maßnahmen in diesem Bereich. 


14. Ist die Bundesregierung der Auffassung, dass Arztpraxen, Apotheken, Pfle¬ 
gedienste und andere Leistungserbringer im Gesundheitswesen gegen den 
Anspruch auf Löschung personenbezogener Gesundheitsdaten des Betroffe¬ 
nen diesem gegenüber einwenden können, diese Daten zur Verteidigung von 
Rechtsansprüchen für einen Zeitraum von 30 Jahren unter Verweis auf die 
absolute Verjährungsfrist (§ 199 Absatz 2 des Bürgerlichen Gesetzbuchs) 
nach Ende der jeweiligen Behandlung bzw. Leistungserbringung aufzube¬ 
wahren? 

Gemäß Artikel 17 Absatz 3 Buchstabe e DSGVO besteht ein Anspruch der be¬ 
troffenen Person auf Löschung nicht, wenn die Verarbeitung zu Geltendmachung, 
Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Es ist des¬ 
halb nachvollziehbar, dass es aus Sicht des Leistungserbringers erforderlich sein 
kann, einzelne Dokumentationen bis zum Ablauf der in § 199 BGB genannten 
Verjährungsfristen aufzubewahren. 


15. Plant die Bundesregierung Änderungen an der nationalen Umsetzung der 
DSGVO, um Einrichtungen im Gesundheits- und Pflegebereich zu entlasten, 
wenn ja, welche? 

Die Bundesregierung schlägt im Rahmen des geplanten Zweiten Datenschutz- 
Anpassungs- und -Umsetzungsgesetzes EU überwiegend technische Anpassun¬ 
gen der bereichsspezifischen Datenschutzregelungen des Bundes in den einschlä¬ 
gigen Gesundheits- und Pflegegesetzen an die DSGVO mit der Prämisse vor, den 


Artikel 29-Gruppe, „Leitlinien in Bezug auf Datenschutzbeauftragte“ vom 5.4. 2017 (WP 243 rev.01), S. 13f; Landesbeauftragte für 
Datenschutz und Infonnationsfreiheit Nordrhein-Westfalen, „Häufig gestellte Fragen zum Datenschutzbeauftragten (FAQ), Stand: Mai 
2018, S. lOf; Hessischer Datenschutzbeauftragter, „Der behördliche und betriebliche Datenschutzbeauftragte nach neuem Recht“, Stand 
Juni 2017, S. 13f. 



Deutscher Bundestag - 19. Wahlperiode 


-7- 


Drucksache 19/3194 


Status quo soweit wie möglich zu erhalten. Darüber hinaus wird unabhängig von 
der Umsetzung der DSGVO im Gesundheits- und Pflegebereich geprüft, ob Ent¬ 
lastungsmöglichkeiten von nicht erforderlichem bürokratischem Aufwand beste¬ 
hen. 


16. Durch welche Maßnahmen können aus Sicht der Bundesregierung Daten 
DSGVO-konfonn digital und analog zwischen Ärzten, Kliniken, Apotheken, 
Pflegeeinrichtungen und Krankenkassen übertragen werden? 

Die Vorgaben der Artikel 24, 25 und 32 DSGVO zu technischen und organisato¬ 
rischen Maßnahmen sind zu beachten. Es ist insbesondere sicherzustellen, dass 
Unbefugte keinen Zugriff auf Patientendaten erhalten, also etwa Dritte ein Tele¬ 
fongespräch nicht mithören oder Faxe nicht einsehen oder auf Bildschirmen nicht 
mitlesen können. 
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